Из базы CSCTelecom могли утечь 125 млн SMS, в том числе от банков

Исследовательская команда Cybernews обнаружила публично доступную базу данных ClickHouse компании CSCTelecom 28 сентября 2026 года. На тот момент через сервис только за сентябрь было отправлено более 3 миллионов SMS-сообщений.

База данных содержала сообщения от крупнейших банков, медицинских учреждений, популярных интернет-магазинов, государственных учреждений и даже службы единого экстренного номера 112 в Латвии. Хотя CSCTelecom в основном работает в Латвии, утечка затронула также компании и частных лиц в Литве и Эстонии.

Представители Cybernews связались с CSCTelecom за комментарием и пообещали опубликовать его после получения.

Какую информацию раскрыла утечка данных CSCTelecom

По словам исследователей, десятки миллионов утекших сообщений раскрывают огромный объем данных, накопленных за несколько лет.

Утекшая база данных содержала:

        названия компаний, использовавших SMS-сервисы CSCTelecom;
        номера телефонов, на которые отправлялись сообщения;
        полное содержание сообщений, включая коды аутентификации, временные пароли, результаты медицинских анализов, данные бронирований, уведомления о доставке с именами и адресами, даты туристических бронирований и уведомления о банковских операциях;
        метаданные, включая временные метки, стоимость сообщений и информацию о маршрутизации в мобильных сетях;
        обновления в режиме реального времени о только что отправленных через систему сообщениях.

По данным Cybernews, список затронутых компаний охватывает несколько отраслей. Под утечку попали SMS-сообщения крупнейших банков и розничных сетей. Некоторые из затронутых брендов хорошо известны практически каждому жителю стран Балтии.

Среди пострадавших компаний и организаций:

Банки:

    Swedbank (Латвия)
    SEB (Латвия)

Страхование и экстренные службы:

    ERGO (Латвия)
    служба экстренной помощи 112 (Латвия)
    Compensa (Латвия)
    Artea (Латвия)

Розничная торговля и услуги:

    Porsche (Латвия/Литва)
    CityBee (Латвия)
    Barbora (Латвия)
    EuroCash (Литва)
    DEPO (Литва/Эстония)
    Akropolis (Литва/Латвия)
    IKI (Литва)
    PerlasGo (Литва)
    Autoplius (Литва/Латвия)

Серьезная угроза безопасности

Главный риск связан с тем, как компании используют SMS-сервисы. Если утечка маркетинговых сообщений может раскрыть персональные данные, то утечка одноразовых кодов способна привести к катастрофическим последствиям.

По словам исследователей Cybernews, коды двухфакторной аутентификации и ссылки для сброса паролей хранились в общедоступной базе данных и обновлялись в режиме реального времени. Злоумышленник, отслеживающий этот поток данных, мог бы воспользоваться кодом двухфакторной аутентификации или сменить пароль жертвы еще до того, как законный пользователь получил SMS.

Помимо немедленного доступа к учетным записям, угрозу представляет и огромный объем накопленных данных. Имея четырехлетнюю историю SMS, злоумышленник может составить подробный профиль практически любого человека, чьи данные есть в базе: где он покупает товары, какими банками пользуется, когда путешествует, какие медицинские обследования проходил и сколько денег тратит.

Как отмечают исследователи, разнообразная конфиденциальная информация позволяет создать детальный профиль пользователя конкретного телефонного номера и деанонимизировать его.

Телефонные номера, получавшие сообщения от премиальных брендов, таких как Porsche, или банковские уведомления о крупных остатках на счетах, могут использоваться для финансового профилирования жертв и выбора наиболее привлекательных целей для мошенничества и атак с применением социальной инженерии.

Даже без доступа к содержанию сообщений сама информация о том, с какими сервисами связан тот или иной номер телефона, позволяет организовывать высокоточные фишинговые кампании. Например, злоумышленник, знающий, что вы пользуетесь Swedbank, заказываете продукты через Barbora и имеете аккаунт в airBaltic, может создавать убедительные мошеннические SMS от имени именно этих компаний.

Цепочка поставщиков, о которой никто не задумывается

Хотя CSCTelecom не является широко известным брендом, этот инцидент, вероятно, затронул сотни сервисов, которыми жители Латвии, Литвы и Эстонии пользуются ежедневно. Случай наглядно показывает, что пользовательские данные хранятся у каждого стороннего поставщика услуг, которого компании привлекают для рассылки SMS-сообщений своим клиентам.

Утечка также поднимает серьезные вопросы о соблюдении требований GDPR. Европейское законодательство о защите данных требует не хранить персональные данные дольше, чем это необходимо для целей обработки.

Это, в свою очередь, вызывает вопрос: зачем поставщику SMS-услуг хранить содержание сообщений, номера телефонов и метаданные почти четыре года?

Комментарий банков

Представитель Swedbank Кристине Чекстере сообщила, что после получения информации об инциденте банк незамедлительно начал его расследование и выполнил все предусмотренные законодательством действия.

В настоящее время Swedbank прекратил использование услуг данного поставщика и запросил всю необходимую информацию, чтобы полностью оценить масштаб инцидента и его возможное влияние на клиентов банка.

Swedbank продолжает собирать информацию и сотрудничает со всеми вовлеченными сторонами, чтобы как можно быстрее выяснить все обстоятельства произошедшего.

Вместе с тем банк призывает клиентов сохранять бдительность и не доверять подозрительным SMS-сообщениям, телефонным звонкам или электронным письмам, в которых запрашиваются персональные данные, пароли, коды аутентификации или другая конфиденциальная информация.

"Нашим приоритетом сейчас является всесторонняя оценка инцидента и обеспечение защиты интересов и данных наших клиентов", - подчеркнула Чекстере.

В свою очередь представитель SEB banka Анете Игауне сообщила агентству LETA, что SEB использовал услуги CSC Telecom в ограниченном объеме исключительно для рассылки маркетинговой информации, связанной с пенсионными фондами. Для передачи конфиденциальной информации клиентам банк использует другие каналы связи.

По словам Игауне, CSC Telecom не информировал SEB о произошедшем инциденте безопасности, поэтому в настоящее время банк оценивает ситуацию на основании имеющейся у него информации.

Она подчеркнула, что данный инцидент не повлиял на безопасность систем SEB и не угрожает ни конфиденциальной информации клиентов, ни их денежным средствам.

Согласно данным портала Firmas.lv, в 2025 году CSC Telecom работал с оборотом 4,483 млн евро и прибылью 110 554 евро. Компания зарегистрирована в 2022 году, а ее основной капитал составляет 273 339 евро.

Владельцами CSC Telecom являются зарегистрированная в Эстонии компания Osauhing Global Telecom Invest (89,99%) и Сергей Бузак (10,01%).